Jakie zagrożenia czekają na Twoją stronę internetową? Jak zadbać o bezpieczeństwo strony internetowej?

Biorąc pod uwagę ilość zagrożeń, jakie dotyczą stron internetowych nie istnieje jedno skuteczne rozwiązanie, które byłoby w stanie ją zabezpieczyć. Podobnie jak w przypadku pozycjonowania dbanie o bezpieczeństwo strony internetowej jest to proces ciągły, którego przerwanie będzie niosło za sobą negatywne skutki. 

Dawniej atak polegał głównie na podmianie treści witryny na reklamy, lub bezpośrednie przekierowanie do takiej witryny. Obecnie ataki te przybrały znacznie bardziej wyszukane formy. Usunięcie plików witryny to jeden z najlepszych scenariuszy, który można by sobie wyobrazić – jeżeli tylko mamy kopię.

Jakie więc zagrożenia mogą wystąpić i jak się przed nimi bronić?

bezpieczeństwo strony internetowej - grafika poglądowa

Nieautoryzowany dostęp do konta administratora

Jest to jeden z najczęstszych przypadków, dlatego też od niego zaczniemy. Jego główną przyczyną są wycieki danych z innych portali, oprogramowanie typu keylogger. Często też zdarza się próba wyłudzenia danych przez podszywanie się pod inną osobę. Jak wynika z badań przeprowadzonych przez Google w ciągu tygodnia cyberprzestępcy byli w stanie pozyskać nawet do 250000 kont. 

Czy istnieje sprawdzony sposób, aby bronić się przed tego typu atakami?
Najskuteczniejszym rozwiązaniem jest używanie innego hasła dla każdego z portali, na którym się logujemy.
Jak wynika z wyżej wspomnianego badania, poprzez wycieki danych do sieci w ciągu roku trafiło ponad 3 miliardy danych dostępowych do kont. Szansa, że nasze hasło również jest na tej liście jest wysoka, ale na szczęście gdy używamy różnych haseł do portali czy usług nasze pozostałe konta dalej pozostaną bezpieczne.

Dwuetapowa weryfikacja

Jeżeli tylko jesteśmy w stanie poprawić bezpieczeństwo naszego konta powinniśmy to zrobić. W przypadku gdy utracimy hasła, zdobędzie je ktoś kto nie powinien może to być ostatnia linia obrony.

W przypadku próby logowania, na konto zabezpieczone przez mechanizm dwuetapowej weryfikacji nie tylko zablokujemy dostęp włamywaczowi, ale zostaniemy poinformowani o próbie logowania. Niezależnie czy korzystamy z aplikacji Google Authenticator czy otrzymujemy kody przez wiadomość SMS informacja o nowym kodzie dla logowania może wydać się podejrzana, zwłaszcza gdy nie korzystamy obecnie z komputera.

Systematyczne aktualizacje CMSów i ich wtyczek.

Dane do naszej witryny mogą ujrzeć światło dzienne nie tylko za sprawą nieuwagi. Równie częstym zjawiskiem co kradzież danych jest uzyskanie dostępu do strony przez przestarzałą wtyczkę, czy błąd w zabezpieczeniach oprogramowania. Nie bez powodu systemy CMS i ich dodatki dostają regularne aktualizacje, a w przypadku krytycznych błędów w zabezpieczeniach nawet i specjalne wydania mające na celu poprawić bezpieczeństwo strony internetowej.

Utrzymanie witryny przy możliwie najnowszej wersji pozwala nie tylko na korzystanie z nowych funkcji czy usprawnień. Wpływa to również na utrzymanie wysokiego poziomu bezpieczeństwa. 

bezpieczeństwo strony internetowej - aktualizacje CMS i modułów

Pochodzenie wtyczek lub innych modułów

Pochodzenie wtyczek lub innych modułów to bardzo istotna kwestia, jeśli mówimy o zabezpieczeniu danych i dostępu do nich. Istnieje wysokie prawdopodobieństwo, że moduły z podejrzanego źródła będą zawierać tak zwane backdoor’y czyli tylne wejście.

Co oznacza to w praktyce? Dosłownie tyle, że to my umożliwimy hakerom dostęp do zasobów naszej witryny. To my podamy im niemalże na tacy nasze dane do logowania. Dodatkowo, w przypadku gdy osoba taka uzyska dane dostępowe do bazy danych uzyska również dostęp do haseł innych użytkowników, którzy zarejestrowali się w naszej witrynie.

Podstawowe i zarazem najskuteczniejsze rozwiązanie – pobierajmy moduły z oficjalnych stron, od stron ich developerów, a gdy jakaś strona wyda się podejrzana zwróćmy na nią szczególną uwagę.

Kopie zapasowe są podstawą przy prowadzeniu strony

Niezależnie czy prowadzimy małego bloga czy jest to popularny portal, który góruje w wynikach wyszukiwania powinniśmy regularnie wykonywać kopię bezpieczeństwa.

Dodatkowo przy każdej aktualizacji, nawet najprostszej wtyczki powinniśmy wykonać kopię modułu, który ulegnie aktualizacji i bazy danych. W szczególności fragmentów bazy danych, które ulegną zmianie – jeżeli jesteśmy w stanie takie określić.

Aby podkreślić, jak ważne jest prowadzenie kopii warto wspomnieć, że w przypadku braku własnej kopii bezpieczeństwa nasza strona może bezpowrotnie zniknąć z internetu.

Bardzo rzadko usługodawca hostingu oferuje automatyczne kopie zapasowe gdy korzystamy z tańszych rozwiązań, lub nie wykupiliśmy dodatkowych usług. Oczywiście większość usługodawców mimo to prowadzi takie kopie, ale jest jedynie na ich wyłączny użytek w przypadku awarii sprzętu.

Zazwyczaj są to kopie całych maszyn, na których znajduje się po kilkadziesiąt witryn. Nie ma więc mowy o udostępnieniu tych danych dla użytkowników.

Komunikaty o błędach i zbyt duża ilość informacji, ataki XSS

Czasami zdarza się, że wystąpi nieprzewidziany wyjątek i powstanie błąd w wykonywaniu kodu strony internetowej. Wówczas powinniśmy jedynie poinformować użytkownika o błędzie, a wszelkie dane diagnostyczne zachować dla siebie.

Kolejnym błędem, jest brak zabezpieczeń XSS w przypadku prowadzenia for dyskusyjnych czy umożliwienia komentowania użytkownikom. Atak ten, polega na wprowadzeniu kodu JavaScript na naszą stronę internetową. W efekcie wywołaniu niepożądanych działań jak przekierowanie na inną witrynę czy wyświetlenie złośliwych reklam.